كشف الرئيس التنفيذي لشركة Vercel، Guillermo Rauch، على منصة X عن تقدم التحقيق، مؤكّدًا أن منصة AI التابعة لجهة خارجية Context.ai التي يستخدمها موظفو Vercel قد تم اختراقها. حصل المهاجمون على بيانات اعتماد حسابات الموظفين عبر تكامل OAuth مع Google Workspace الخاص بالمنصة، ثم تمكنوا من الوصول إلى بعض بيئات Vercel الداخلية وإلى متغيرات بيئية لم يتم وسمها على أنها «حساسة».
سلسلة الهجوم: من اختراق OAuth لأداة AI إلى اختراق تدريجي لبيئة Vercel
وفقًا للتحقيق الذي أجرته Vercel، تتضمن مسار الهجوم ثلاث مراحل متصاعدة على نحو تدريجي. أولًا، تم اختراق تطبيق OAuth الخاص بـ Google Workspace في Context.ai ضمن هجوم سلسلة توريد أكبر نطاقًا حدث سابقًا، وقد يكون ذلك قد أثر في مئات المستخدمين من عدة مؤسسات. ثانيًا، من خلال اختراق Context.ai، سيطر المهاجمون على حسابات موظفي Vercel في Google Workspace، واستخدموا بيانات اعتمادها للوصول إلى الأنظمة الداخلية لدى Vercel. ثالثًا، استخدم المهاجمون أسلوب التعداد (التعداد/Enumerating) للحصول على مزيد من صلاحيات الوصول عبر متغيرات بيئية لم يتم وسمها على أنها «حساسة».
وأشار Rauch في الإعلان إلى أن سرعة تحركات المهاجمين «مذهلة»، وأن معرفتهم بأنظمة Vercel «عميقة جدًا»، مع تقييم أن من المرجح للغاية أنهم استفادوا من أدوات AI لرفع كفاءة الهجوم بشكل كبير.
الحدّ الأمني بين المتغيرات البيئية «الحساسة» و«غير الحساسة»
يُظهر هذا الحادث تفاصيل جوهرية حول آليات أمان متغيرات بيئة Vercel: يتم تخزين المتغيرات البيئية الموسومة على أنها «حساسة» بطريقة تمنع قراءتها، ولم يعثر التحقيق حاليًا على أي دليل على أن هذه القيم قد تم الوصول إليها. ما تم استغلاله من قبل المهاجمين هو متغيرات بيئية غير موسومة على أنها «حساسة»، ونجح المهاجمون عبر أسلوب التعداد في الحصول على صلاحيات وصول إضافية منها.
قامت Vercel بإضافة صفحة نظرة عامة على المتغيرات البيئية، وكذلك بواجهة لإدارة المتغيرات البيئية الحساسة بعد تحسينها، لمساعدة العملاء على تحديد قيم الإعدادات عالية الخطورة وحمايتها بشكل أوضح.
استجابة Vercel الطارئة وقائمة الإجراءات الموصى بها رسميًا
قامت Vercel بتعيين Google Mandiant وشركات أمن سيبراني أخرى، وأبلغت الجهات المختصة بإنفاذ القانون للتدخل. تم تأكيد أن Next.js وTurbopack وجميع المشاريع مفتوحة المصدر التابعة لـ Vercel آمنة عبر تحليل سلسلة التوريد، وتعمل خدمات المنصة حاليًا بشكل طبيعي.
إجراءات أمان العملاء الموصى بها رسميًا
راجع سجلات النشاط: افحص سجلات نشاط الحساب والبيئة وحدد الأنشطة المشبوهة
بدّل المتغيرات البيئية: أي متغيرات بيئية تحتوي على معلومات سرية (مفاتيح API، الرموز، بيانات اعتماد قواعد البيانات، مفاتيح التوقيع) ولكنها غير موسومة كـ حساسة، يجب اعتبارها على أنها ربما تم تسريبها وأولوية لتبديلها
فعّل ميزة المتغيرات البيئية الحساسة: تأكد من وسم جميع قيم الإعدادات السرية بشكل صحيح على أنها «حساسة»
راجع عمليات النشر الأخيرة: تحرَّ عن عمليات نشر غير معتادة واحذف الإصدارات المشبوهة
قم بإعداد حماية النشر: تأكد من تعيينها على الأقل إلى مستوى «قياسي»، وقم بتدوير رموز حماية النشر
الأسئلة الشائعة
ما هو Context.ai، وكيف أصبح مدخلًا للهجوم الحالي؟
Context.ai هي أداة AI ثالثة صغيرة تستخدم تكامل Google Workspace OAuth، ويستخدمها موظفو Vercel في أعمالهم اليومية. تُظهر نتائج التحقيق أن تطبيق OAuth لهذه الأداة قد تم اختراقه ضمن هجوم أكثر شمولًا على سلسلة التوريد، ما قد يكون قد أثر في مئات المستخدمين من عدة مؤسسات، وقد حصل المهاجمون على بيانات اعتماد حسابات موظفي Vercel خلال هذه العملية.
هل تتأثر المتغيرات البيئية الموسومة كـ «حساسة»؟
لا توجد حاليًا أدلة على أن المتغيرات البيئية الموسومة كـ «حساسة» قد تم الوصول إليها. تُخزن هذه المتغيرات باستخدام طريقة خاصة لمنع القراءة. يستخدم المهاجمون متغيرات بيئية غير موسومة على أنها «حساسة»، وقد نجح المهاجمون عبر أسلوب التعداد في الحصول على صلاحيات وصول إضافية منها.
كيف يمكن لعملاء Vercel التأكد مما إذا كانوا متأثرين؟
إذا لم تتلقَّ تواصلًا مباشرًا من Vercel، فإن Vercel تقول إنه لا توجد حاليًا أسباب للاعتقاد بأن بيانات اعتماد العملاء المعنيين أو معلوماتهم الشخصية قد تم تسريبها. توصي بمراجعة جميع العملاء بشكل استباقي لسجلات النشاط، وتدوير المتغيرات البيئية غير الموسومة كـ «حساسة»، وتمكين ميزة المتغيرات البيئية الحساسة بشكل صحيح. للحصول على دعم تقني، تواصل مع Vercel عبر vercel.com/help.
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة من مصادر خارجية ولا تمثل آراء أو مواقف Gate. المحتوى المعروض في هذه الصفحة هو لأغراض مرجعية فقط ولا يشكّل أي نصيحة مالية أو استثمارية أو قانونية. لا تضمن Gate دقة أو اكتمال المعلومات، ولا تتحمّل أي مسؤولية عن أي خسائر ناتجة عن استخدام هذه المعلومات. تنطوي الاستثمارات في الأصول الافتراضية على مخاطر عالية وتخضع لتقلبات سعرية كبيرة. قد تخسر كامل رأس المال المستثمر. يرجى فهم المخاطر ذات الصلة فهمًا كاملًا واتخاذ قرارات مدروسة بناءً على وضعك المالي وقدرتك على تحمّل المخاطر. للتفاصيل، يرجى الرجوع إلى
إخلاء المسؤولية.
مقالات ذات صلة
شركات هندية للأمن السيبراني تستخدم الذكاء الاصطناعي لتقليص اختبار الثغرات إلى ساعات
تقوم شركات الأمن السيبراني الهندية، بما في ذلك Indusface وAstra Security، باعتماد وكلاء ذكاء اصطناعي مبنية على النماذج اللغوية الكبيرة لتسريع اختبار الثغرات الأمنية في البرمجيات من أيام أو أسابيع إلى ساعات، وفقاً لصحيفة The Economic Times. ويعكس هذا التحول تزايد سرعة المهاجمين وقدرة أدوات الذكاء الاصطناعي الناشئة على
CryptoFrontierمنذ 2 د
دحض فقاعة الذكاء الاصطناعي! الرئيس التنفيذي لشركة بليد: نقص القدرة الحاسوبية سيوجِد «سوق عقود مستقبلية للقدرة الحاسوبية»
مع تزايد عالمي هائل في الطلب على الذكاء الاصطناعي وقدرات الحوسبة، دحض رئيس شركة بلاك روك التنفيذي فنك مزاعم فقاعة الذكاء الاصطناعي، قائلاً إن النقص في قدرات الحوسبة سيؤدي إلى ظهور فئة أصول جديدة هي "عقود آجلة على الحوسبة" كأداة استثمارية. وتهيئةً لهذا الاتجاه، تتعاون بلاك روك مع مايكروسوفت وNVIDIA وMGX للاستثمار بمئات المليارات من الدولارات في مراكز البيانات والبنية التحتية للطاقة؛ وتقوم GIP بشراء Aligned Data Centers مقابل نحو 40 مليار دولار، كما تتعاون مع EQT في صفقة تبلغ 10.7 مليار دولار للاستحواذ على AES. ويرى فنك وآخرون من بينهم Brookfield أن هذا يشكّل فرصة استثمارية مركّبة وطويلة الأجل ومنضبطة، يمكن أن تستمر عوائدها لسنوات تمتد لعقود.
ChainNewsAbmediaمنذ 10 د
رئيس تيثر يعلن عن اختراق بحثي في مجال الذكاء الاصطناعي قادم هذا الأسبوع
وفقاً لـCointelegraph، أعلن الرئيس التنفيذي لشركة Tether باولو أردوينو في 6 مايو أن فريق أبحاث الذكاء الاصطناعي التابع للشركة سيصدر اختراقاً جديداً في مجال الذكاء الاصطناعي المحلي هذا الأسبوع.
GateNewsمنذ 10 د
أطلقت Anthropic 10 وكلاء ذكاء اصطناعي ماليين، متكاملين مع Microsoft 365 لمعالجة الأعمال المالية بسهولة
طرحت شركة Anthropic 10 قوالب لوكلاء ذكاء اصطناعي متخصصين في التمويل، مع دمج شركاء في البيانات مثل Microsoft 365 وMoody’s وD&B، ويمكن استخدامها كإضافات أو بجدولة تلقائية. تُقسّم القوالب إلى نوعين: أبحاث/خدمة العملاء وأعمال مالية، وتشمل مجالات مثل الاستثمار والبحث، والنمذجة المالية، وKYC، كما تتضمن إدراج تصنيفات Moody’s. تتصدر Claude Opus 4.7 قائمة أفضل النماذج في معايير وكلاء التمويل، ما يشير إلى أن المواهب في القطاع المالي وأطر التنظيم ستتأثر.
ChainNewsAbmediaمنذ 14 د
أعلن الرئيس التنفيذي لشركة Xbox إنهاء تطوير مساعد الذكاء الاصطناعي Copilot لوحدات التحكم، مع التوقف التدريجي عن خدمات الأجهزة المحمولة.
أعلنت أَشا شارما، الرئيسة التنفيذية لشركة Xbox، في 6 مايو على منصة X أن Xbox ستوقف تطوير Copilot بالواجهة على الأجهزة المنزلية، وستعمل تدريجياً على إيقاف خدمات Copilot على الأجهزة المحمولة. ووفقاً لما ذكرته IGN، أرسلت شارما في اليوم نفسه مذكرة داخلية إلى موظفي Xbox أوضحت فيها أن فريق Xbox يجري تحوّلاً كبيراً، مع تعيين قيادة جديدة لتسريع تنفيذ الخطة.
MarketWhisperمنذ 26 د
